ソニー生命の不正アクセス — 代理店として扱ったメディケア生命の契約情報約38.5万件が漏えいした経緯と、他社の顧客情報を預かる企業の3つの対策

ソニー生命の不正アクセスとは

ソニー生命の不正アクセスは、ご契約者さま専用サイト「お客さまWEBサービス」などのシステムが第三者の不正アクセスを受け、同社が保険代理店として取り扱ったメディケア生命の保険契約に関する個人情報が漏えいした事案です。不正アクセスの判明は2026年10月27日で、同社は被害拡大の防止を目的に、対象システムへの外部からのアクセスを遮断し、関係するサービスを停止しました。原因は「詳細は調査中」とされ、侵入の経路や手口は公表されていません。

漏えい件数は約38.5万件で、10月28日現在、お客さま情報が不正使用された事実は確認されていないとのことです。ソニー生命は既に金融庁へ報告し、対象のお客さまには順次連絡すると説明しています。最新の動きは、当社の事例速報「ソニー生命保険株式会社のサイバー攻撃被害」で更新しています。

判明から11月2日の一部再開までの経緯

判明の翌朝にサービスを止め、同じ日に2社が公表しました。委託元のメディケア生命は、募集の経路でお客さまを分け、11月2日に一部のサービスを再開しています。

漏えいが確認された情報

対象は、ソニー生命が代理店として扱ったメディケア生命の保険契約に関するご契約者と被保険者の情報です。連絡先に加えて、証券番号とご契約内容が含まれています。

ソニー生命は原因と影響範囲の特定を進めており、確認状況をあらためて知らせるとしています。同社の保険契約への影響の有無、不正アクセスの開始時期、停止中のサービスの再開時期は、11月2日の時点で示されていません。

代理店の事故で、なぜ委託元の顧客の情報まで漏えいするのか

代理店は保険の募集や手続きのために委託元の契約情報を扱うため、代理店の側で事故が起きると、委託元の顧客の情報にも影響が及びます。どのシステムにどの形で保管されていたかは公表されていないものの、両社の発表からは、預かる立場で押さえたい点を3つ読み取れます。

漏えいが確認されたのは、他社の保険契約の情報だった

ソニー生命の公表で漏えいが確認された個人情報は、同社が保険代理店として取り扱ったメディケア生命の保険契約に関するものでした。メディケア生命は「当社が保険代理店業務を委託している」と位置づけ、自社のお客さまの情報を含む漏えいとして説明しています。お客さまから見ると、事故が起きた会社と、契約している保険会社が別になった形です。

同じ日に、2社がそれぞれの窓口で公表した

メディケア生命は、ソニー生命と同じ10月28日に公表し、同じ項目と件数を示したうえで、ソニー生命の公表内容を参考として案内しました。お客さまが2社のどちらの案内を見ても、同じ項目と件数を確かめられる形です。両社の発表を並べると、次のようになります。

委託元の側でも、募集の経路で分けてサービスを止めた

メディケア生命は、ソニー生命での情報漏えいを受けて、自社のマイページ新規利用登録を止めました。11月2日には、必要な安全確認を実施したとして、ソニー生命グループによる募集契約以外のお客さまについて再開しています。ソニー生命グループの募集契約については、解約や保険料払込方法の変更なども含めて停止が続き、手続きはコールセンターで受け付けています。募集の経路で対象を分けたことで、再開も2段階に分かれた形になります。

代理店や委託先の中小企業が狙われる理由

代理店や委託先には複数の取引先の顧客情報が集まるため、1社の事故が委託元の顧客へ広がりやすい構造があります。保険代理店のほか、販売代理店、取次、士業、業務の受託先でも、取引先の名簿や契約情報を自社のシステムやメールで預かることは珍しくありません。当社代表の青山は、総合解説「サプライチェーン攻撃の起点は中小企業にある」で、インシデント時の報告期限や再委託の承認、契約終了時のデータ削除を委託契約に明記するよう整理しました。配送会社が出荷人との連名の報告を案内した佐川急便の事例は、預ける側から見た同じ問題といえるでしょう。

預かった顧客情報が漏えいしたら？代理店・委託先が取るべき3つの対策

他社の顧客情報を預かる企業が優先したいのは、①預かる情報を委託元ごとに分け、項目と件数と置き場所をすぐ出せるようにする、②第一報、公表、本人への通知、報告の分担を委託元ごとに契約で決める、③顧客向けサイトを止める基準と止めた後の受付を決めておく、の3つです。①は影響の範囲を早く示すため、②は委託元との調整を短くするため、③は止める判断を迷わないための備えにあたります。

対策1：預かる情報を委託元ごとに分け、項目と件数と置き場所をすぐ出せるようにする

最初に整えたいのは、他社から預かる顧客情報を委託元ごとに分け、項目と件数と置き場所をすぐ答えられる状態です。ソニー生命の事例では、漏えいが確認された情報が「代理店として取り扱ったメディケア生命の保険契約」と示され、委託元はそれを受けて募集の経路で案内を分けました。委託元ごとの線引きができないと、取引先のすべてに同じ確認を求めることになります。保険代理店なら保険会社ごと、販売代理店ならメーカーごと、士業なら顧問先ごとに、次の手順で書き出してください。

1. 預かっている情報を、委託元と契約の名前ごとに書き出す
2. 情報の置き場所を、顧客管理システム、顧客向けサイト、メール、共有フォルダ、表計算ファイルに分けて記録する
3. 自社で管理するシステムか、委託元から貸与されたシステムかを区別する
4. 顧客向けサイトやマイページで、他社の契約情報も扱っているかを確かめる
5. 委託元ごとの件数を月末に集計し、解約や契約終了の後も残っている分を数える

判断の目安は、「委託元の名前を言われた日のうちに、項目、件数、置き場所を答えられる」状態です。落とし穴は、複数の委託元の顧客を1つの名簿にまとめていて、委託元ごとの件数を出せなくなることでしょう。営業担当者が個人のファイルで持つ顧客リストも、預かった情報として同じ一覧に載せておく必要があります。委託元との契約が終わったら消す約束の情報が残っていないかも、この集計で確かめたいところです。一覧は個人情報の責任者が各部門に聞き取れば1〜2日で形になり、委託元が増えた月と年度末に見直します。

対策2：第一報、公表、本人への通知、報告の分担を、委託元ごとに契約で決める

2つ目は、事故が起きたときに誰がいつ何をするかを、委託元ごとに契約で決めておくことです。ソニー生命とメディケア生命は同じ日に公表し、項目と件数をそろえました。個人情報保護委員会のガイドラインによると、委託先で報告の対象となる事態が起きた場合、報告と本人への通知は原則として委託元と委託先の双方が義務を負い、報告は連名でも行えます。委託先が把握している事項を委託元へ通知すれば、委託先の2つの義務は免除され、委託元が報告と通知を担う決まりです。同委員会は、一般的な業務委託契約にセキュリティの項目が含まれていないことが多いとも指摘しており、次の項目を委託元ごとに確かめて覚書などに残しておくと動きやすくなります。

判断の目安は、「すべての委託元について、第一報の期限と夜間・休日の連絡先が書面にある」状態です。陥りやすいのは、委託元の連絡先が営業の担当者だけで、休日の事故で第一報が遅れる流れでしょう。再委託先がある場合は、その先からの連絡の経路も同じ書面に入れておくと安心です。業種によって報告先が変わるため、金融分野なら金融庁の案内、医療や介護なら各分野の指針も確かめます。ひな形は経営者と個人情報の責任者で半日ほどで作れ、委託元との確認は契約の更新時に進めます。

対策3：顧客向けサイトを止める基準と、止めた後の受付を決めておく

3つ目は、マイページなどの顧客向けサイトをどんなときに誰の判断で止めるかと、止めた後の受付を先に決めておくことです。ソニー生命は不正アクセスの判明の翌朝に6つのサービスを止め、急ぎの手続きは担当者かカスタマーセンターで受けると案内しました。メディケア生命も、解約などの手続きをコールセンターに集め、電子的控除証明書の発行は別のポータルサイトで受けられるよう案内しています。顧客向けサイトを持つ企業は、次の5つを手順書にまとめてください。

1. 止める基準と判断する人を決める（不審なログインや情報の持ち出しの痕跡など。夜間の代理も決める）
2. サービスごとに、止めた間の受付先を電話、担当者、別のサイトから決める
3. 止めるサービス、日時、再開の見通し、急ぎの窓口、偽の連絡への注意を書いた案内のひな形を作る
4. 電話の本人確認は、漏えいしたおそれのある項目だけで通さず、登録済みの連絡先への折り返しを組み合わせる
5. 再開の条件と、分けて再開できる対象を決め、確かめた内容を案内に書ける形で残す

判断の目安は、「夜間でも判断する人に連絡がつき、サービスごとに止めた後の受付先を言える」状態です。落とし穴は、締切のある手続きを見落とすことにあります。年末調整の書類や請求の期限など、止めている間も待てない手続きは先に洗い出しておきたいところです。

氏名や生年月日、証券番号のように本人確認で尋ねる項目が漏えいに含まれると、電話口のなりすましに使われやすくなる点にも備えが要ります。メディケア生命は再開の案内で「必要な安全確認を実施」と説明しており、再開の日に何を確かめたかを言葉にできるかどうかも、お客さまの安心を左右するでしょう。手順書は顧客サービスの責任者とシステムの担当者で1日ほどあれば作れ、年に1回、止める訓練を机上で行います。

自社で決めることとガーディアンに任せること：預かる立場の分担

委託元との取り決めや顧客情報の扱いは、自社でしか決められない領域です。一方で、会社の名前を名乗る偽の連絡への備え、事故の日の公式サイト、顧客が使う画面の点検は、当社に任せると早く整います。

会社の名前を名乗る偽の連絡には、SCSC Dog で備える

代理店や委託先の事故の後は、委託元の顧客に、事故のあった会社や委託元を名乗る連絡が届くおそれがあります。SCSC Dog は、SPF・DKIM・DMARC を標準で設定し、自社のドメインから送られたメールかどうかを受け取る側が確かめられる状態に整えるサービスです。公式サイトの運用も当社の基盤で受け持つので、委託元と足並みをそろえた案内をすぐ掲載できます。当社の基盤は、15年間、事故の確認がありません（当社集計）。

顧客が使う画面と協力会社のWebは、SCAN DOG で見る

マイページのように改修が続く画面は、SCAN DOG 正規版で毎日から1年ごとまでの頻度を選んで診断し、指摘と対応の状況を残せます。委託元から点検の状況を尋ねられたときも、診断の記録がそのまま説明の材料になるでしょう。再委託先や関連会社のサイトは SCAN DOG ライト版でURLをまとめてお預かりし、急いで手を入れたい先から並べたレポートを約10営業日でお届けします。

SCS評価制度で問われる、取引先との役割分担と事故の連絡ルート

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、取引先どうしが備えの水準を確かめやすくするための任意の制度で、経済産業省などが進めています。★3・★4の申請受付は2026年度末に始まる予定です。取引そのものを規制する制度ではないものの、他社の顧客情報を預かる立場では、委託元から体制を尋ねられる場面が出てくるとみられます。

この事例に関わるのは、★3の要求事項「2-1-4 セキュリティインシデント発生時の役割・責任」と「6-1-1 インシデント対応手順」です。前者は機密情報を共有する取引先との間で事故の時の役割と責任を定めることを、後者は関係当局や所管省庁を含む社内外の連絡先と、報告・情報共有のルートを定めることを求めています（IPA「★3・★4 要求事項・評価基準」）。対策2の分担の取り決めは、この2つの準備としてもそのまま使えます。要求事項の全体はSCS評価制度への対応でまとめました。

まとめ

ソニー生命の事例では、お客さまWEBサービスなどのシステムへの不正アクセスにより、代理店として取り扱ったメディケア生命の保険契約に関する情報約38.5万件が漏えいしました。2社は同じ日に公表し、お客さまWEBサービスなどの停止は11月2日の時点で続いています。メディケア生命は同じ日に、ソニー生命グループの募集契約以外についてマイページ新規利用登録を再開しました。原因と影響範囲の調査は続いています。

代理店や委託先として他社の顧客情報を預かる企業が、今日から進めたいのは次の3つです。

• 預かる情報を委託元ごとに書き出し、項目、件数、置き場所を一覧にする
• 第一報の期限、公表の出し方、本人への通知、報告の分担を委託元ごとに書面で確かめる
• 顧客向けサイトを止める基準と判断する人、止めた後の受付先を手順書にまとめる

事故の日に案内を載せる公式サイトの守りは、77's Check!! で状態を無料で確かめられます。

よくある質問

あわせて読みたい

• 
  総合解説

  サプライチェーン攻撃の起点は中小企業にある
• 
  事例一覧

  2026年 日系企業のサイバー被害事例一覧
• 
  SCS評価制度

  SCS評価制度への対応